Jste dodavatelem regulované firmy? Co po vás mohou chtít podle zákona o kybernetické bezpečnosti

I malá firma, které se zákon č. 264/2025 Sb. přímo netýká, může dostat bezpečnostní požadavky – jako dodavatel regulovaného zákazníka. Zákon v § 13 odst. 5 ukládá poskytovateli regulované služby vybírat dodavatele v souladu s požadavky bezpečnostních opatření a zahrnout tyto požadavky do smluv. V režimu vyšších povinností navíc § 9 vyhlášky č. 409/2025 Sb. požaduje evidovat významné dodavatele, písemně je o tom informovat, mít ve smlouvách náležitosti podle přílohy č. 5 vyhlášky a pravidelně kontrolovat jejich plnění. V praxi to znamená dotazníky, smluvní doložky o hlášení incidentů, právo na audit, požadavky na vícefaktorové ověření a zálohy – a často i potřebu nakoupit si spravovanou bezpečnostní službu, abyste požadavky splnili. Druhou stranou mince je, že poskytovatelé řízených a řízených bezpečnostních služeb jsou při velikosti středního nebo velkého podniku sami regulovaní – což je dobrá otázka do výběru.

Článek patří do sekce chyby a zdroje.

Kdo je „významný dodavatel“

Vyhláška č. 409/2025 Sb. definuje významného dodavatele jako toho, kdo povinné osobě poskytuje plnění významné z hlediska zajištění kybernetické bezpečnosti regulované služby (§ 2 písm. h)). Typicky: správa IT, cloudové služby, vývoj a údržba aplikací, bezpečnostní služby, dodavatelé řídicích technologií.

Regulovaný zákazník v režimu vyšších povinností vás musí o zařazení písemně informovat – sdělení obsahuje jeho identifikaci, že je poskytovatelem regulované služby v režimu vyšších povinností, název regulované služby, vaši identifikaci a prohlášení, že jste významným dodavatelem (§ 9 odst. 3).

V režimu nižších povinností vyhláška č. 410/2025 Sb. (§ 3 odst. 5) požaduje, aby povinná osoba při uzavírání smlouvy s dodavatelem do stanoveného rozsahu zohlednila hrozby, zranitelnosti a kvalitu bezpečnostních postupů dodavatele a zajistila, že smlouva obsahuje relevantní požadavky.

Co po vás zákazník typicky chce

Kolik to stojí malou firmu (ilustrativně)

Smyšlená IT firma s 15 lidmi, dodavatel aplikace pro regulovaného zákazníka. Ilustrativní náklady bez DPH na splnění požadavků:

Další roky 231 000 Kč. Tyto náklady je rozumné promítnout do ceny pro regulovaného zákazníka nebo s ním vyjednat, které požadavky jsou opravdu nutné pro vaše plnění. Čísla jsou ilustrativní; výpočet si udělejte v kalkulačce měsíční ceny.

Když je regulovaný i váš MSSP

Podle bodů 16.13 a 16.14 přílohy vyhlášky č. 408/2025 Sb. je poskytovatel řízené služby (správa IT) a řízené bezpečnostní služby pro podnikatele:

• v režimu vyšších povinností, je-li velkým podnikem,
• v režimu nižších povinností, je-li středním podnikem.

Regulovaný poskytovatel musí sám zavádět opatření a hlásit incidenty. Pro vás jako zákazníka to může být užitečný signál, ale ne záruka kvality – a malý poskytovatel není horší jen proto, že regulovaný není. Ptejte se na to v poptávce: „Jste poskytovatelem regulované služby? V jakém režimu?“ Podle § 18 zákona se na řízené služby uplatní i prováděcí předpis Evropské komise k NIS2 s technickými a metodickými požadavky.

Postup pro dodavatele

1. Zjistěte, zda vás zákazník zařadil jako významného dodavatele (písemné sdělení).
2. Vyžádejte si požadavky písemně a ujasněte, které se týkají vašeho plnění.
3. Udělejte rozdílovou analýzu: co splňujete, co ne, kolik stojí doplnění.
4. Vyjednejte smlouvu: rozumné lhůty hlášení, rozsah auditu, rozdělení odpovědnosti.
5. Nakupte, co chybí – MDR, zálohy, vícefaktorové ověření, externí CISO. Viz jak vybrat poskytovatele.
6. Dokumentujte a pravidelně aktualizujte.

Související: zákon o kybernetické bezpečnosti 2026, penetrační test a trestní zákoník, změna poskytovatele a exit.

Jak odpovědět na bezpečnostní dotazník

1. Nevyplňujte z hlavy. Ke každé odpovědi si poznamenejte, čím ji doložíte (nastavení, report, politika).
2. Rozlišujte „ano“, „částečně“ a „plánujeme“. Přehnaná odpověď se vrátí při auditu nebo při incidentu.
3. U „částečně“ uveďte termín a odpovědnou osobu – podobně jako v přehledu bezpečnostních opatření.
4. Ptejte se na rozsah. Požadavek se má týkat systémů, kterými poskytujete plnění zákazníkovi, ne nutně celé firmy.
5. Zapojte poskytovatele služby. Pokud vám MSSP nebo MDR zajišťuje část opatření, nechte si odpovědi potvrdit.
6. Uložte si verzi, kterou jste odeslali, a aktualizujte ji alespoň jednou ročně.

Častou chybou je slíbit v dotazníku hlášení incidentu „do 1 hodiny“, aniž by firma měla kohokoli dostupného v noci. Domluvte lhůtu, kterou zvládnete, nebo si dostupnost zajistěte službou.

Časté otázky

Musím jako dodavatel hlásit incidenty NÚKIB?

Pokud nejste sami poskytovatelem regulované služby, zákon vám tuto povinnost přímo neukládá. Smlouva se zákazníkem ale obvykle vyžaduje hlásit incidenty jemu, aby on mohl splnit své povinnosti.

Mohu odmítnout audit od zákazníka?

Smluvně ano, ale regulovaný zákazník musí plnění u významných dodavatelů kontrolovat (vlastními zdroji nebo třetí stranou), takže odmítnutí může znamenat konec spolupráce. Vyjednejte rozsah, četnost a mlčenlivost.

Platí požadavky i na mé subdodavatele?

Často ano – zákazník chce, abyste požadavky přenesli dál. Mějte proto seznam subdodavatelů a smlouvy s nimi upravte.

Zdroje

• Národní úřad pro kybernetickou a informační bezpečnost – metodiky k řízení dodavatelů
• e-Sbírka – vyhlášky č. 408/2025 Sb., 409/2025 Sb. (§ 9, příloha č. 5) a 410/2025 Sb.
• Zákony pro lidi – zákon č. 264/2025 Sb., § 13 a § 18